Centos7.9系统安装OpenVPN-超详细

admin

at > /etc/openvpn/checkpsw.sh <<"EOF"
#!/bin/sh
###########################################################
5 j  ^# }9 _6 n: K$ B6 ?# checkpsw.sh (C) 2004 Mathias Sundman <mathias@openvpn.se>
% J0 t" F9 y* ?6 b* ~2 Y2 u% ^# J; }#
# This script will authenticate OpenVPN users against
. B! X/ d) N( \$ m$ x# a plain text file. The passfile should simply contain
# one row per user with the username first followed by
# one or more space(s) or tab(s) and then the password.
PASSFILE="/etc/openvpn/psw-file"
" Q6 Q+ z% @6 p0 d9 `% {, x- }LOG_FILE="/var/log/openvpn-password.log"
/ A2 M9 J; c8 P" N8 PTIME_STAMP=`date "+%Y-%m-%d %T"`
###########################################################
if [ ! -r "${PASSFILE}" ]; then
echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
exit 1
fi
* Q9 v; w# V, I: A# x6 K8 BCORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`
if [ "${CORRECT_PASSWORD}" = "" ]; then
echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1
! I& x! {3 ?7 C+ U. xfi
if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
exit 0
9 p& F( F8 u4 I; {5 T2 [% u! Hfi
echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
7 ?' g7 @! G% s* E: Aexit 1
6 H2 s% ^' ^) S$ C" }/ B$ \. CEOF
6 K4 b1 G4 N# E5 P) p1 B& }- W
chmod +x /etc/openvpn/checkpsw.sh
systemctl stop firewalld
systemctl disable firewalld
sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/sysconfig/selinux
setenforce 0
  K, R) H; ]) j9 V" p6 Msystemctl start iptables
' k) k3 t) s3 }% ?systemctl enable iptables
iptables -F
iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE
  f. v4 s" t+ E3 Nservice iptables save
systemctl restart iptables
echo net.ipv4.ip_forward = 1 >>/etc/sysctl.conf
sysctl -p
systemctl start openvpn@server
systemctl enable openvpn@server
systemctl status openvpn@server
/ g  @# a) h3 c! n
echo ''>/etc/openvpn/openvpn.sh
touch /etc/openvpn/openvpn.sh
3 }6 j) L2 U% e7 h0 [# p0 zcat > /etc/openvpn/openvpn.sh <<"EOF"
#!/bin/bash
' I# |( N" O# t% `# E#by openvpn useradd
#name LLL 2022年02月23日13:48:55
###########################################
' w5 h( `! o  S#user="$1"
# F8 j6 m; q7 N5 w, J#pass="$2"
#ip="$3"
& t; P7 I4 {9 ~7 `& _easyrsa="/etc/openvpn/easy-rsa/3.0.8"
function useradd(){
3 J; V5 @2 @+ N: kread -p "请输入用户名：" user
if [ ! $user ];then
. W; B- F5 y& Q4 b) o6 G5 f  I7 zecho "user is NULL"
read -p "请输入用户名：" user
fi
read -p "请输入密码：" pass
if [ ! $pass ];then
; p1 h" m& m$ Z( s" ~. qecho "password is NULL"
exit
% f! g+ P5 R, pfi
read -p "请输入IP地址(如：10.9.0.6 10.9.0.5,IP地址以4个为单位增加)：" ip
if [ ! $ip ];then
, C+ `0 X( S9 _" z# Q! ^echo "ip is NULL"
0 X$ w) c1 a+ E* Xexit
fi
sh /etc/openvpn/client/ovpn_user.sh $user
cat>>/etc/openvpn/ccd/$user<<eof
8 ]* u: h  m" `; b8 L! Iifconfig-push $ip
eof
6 k3 [. c$ N( _8 _0 xcat>>/etc/openvpn/psw-file<<eof
$user $pass
# v2 [& h! D4 h1 T% L% N9 u6 j5 geof
! y+ w' d, j# F+ E" K}
, \% b( F7 J* R4 w/ k& m- y# dfunction userdel(){
read -p "请输入您需要删除的用户名：" user
! p" \. K* w. R8 q: M- {1 J; o0 bif [ ! $user ];then
echo "user is NULL"
% }. O2 {8 N. Z  Ufi
1 c4 @3 c9 U# {0 ucd $easyrsa
8 X2 {6 \' ]+ m8 u2 ~/ A( Techo "-----------------------------------------------------------------"
echo "出现continue with revocation请输入yes"
echo "------------------------------------------------------------------"
# ]" f0 i: j' R./easyrsa revoke $user
./easyrsa gen-crl
" o$ U0 [3 I! _; W8 U$ |' S) x$ M+ [rm -f /etc/openvpn/ccd/$user
- \" A* I3 H, }$ B}
function alter_user(){
+ B/ Y5 `: }- W6 K! P& b! ^& Uread -p "请输入您需要修改的用户名：" user
read -p "请输入此用户名的新密码：" pass
sed -i '/'"$user"'/d' /etc/openvpn/psw-file
echo "$user $pass" >>/etc/openvpn/psw-file
8 M+ b# h0 P2 Q) J}
' E: j7 E: o) @) Pfunction alter_ip(){
read -p "请输入您需要修改的用户名：" user
if [ ! $user ];then
( ]# H- J! @. x: l- r$ Jecho "user is NULL"
exit
4 @- P0 N/ g7 P* G; ofi
read -p "请输入您的新IP地址(如：10.9.0.6 10.9.0.5)：" ip
if [ ! $ip ];then
6 q. _1 I1 x+ Iecho "ip is NULL"
, F4 B4 s1 f: K/ Q# c7 w, F8 sexit
* w5 Q- X; q) c$ rfi
echo ifconfig-push $ip >>/etc/openvpn/ccd/$user
. o7 }: H/ t/ J2 d2 I) a}
echo "请选择您需要做的操作选项"
& t; S$ z% I" @4 N9 I# i/ N0 ]5 decho "----------------------------------------------------------------"
select VPN in "创建用户" "删除用户" "修改账号密码" "修改IP地址"
do
case $VPN in
0 O% ^( k- }- K7 ?3 m创建用户)
/ g3 W' @" k1 H8 C* x4 J: Iuseradd
. d1 \' g: d) e7 ]3 j;;
" o. B7 S) T- }- ], c& d+ u删除用户)
userdel
$ O2 ?8 B7 U+ |. I9 E) U;;
修改账号密码)
" Z- n& V4 m7 lalter_user
- l, x/ k9 ^9 x  B; M;;
: g8 d; d) p: o9 I6 f修改IP地址)
alter_ip
;;
, M/ ^: B# N+ b- oesac
done
9 T% R! E2 ?- j6 O. qEOF
2 K" a" A% ~  E  X; o. U$ S% i
echo ''>/etc/openvpn/client/ovpn_user.sh
touch /etc/openvpn/client/ovpn_user.sh
: s' ?1 g( ]# p6 E1 g( {9 l0 hcat > /etc/openvpn/client/ovpn_user.sh <<"EOF"
* M: n- z; A" W7 ~# ! /bin/bash
0 ~+ \$ I$ j1 E3 k8 C- G. Qset -e
OVPN_USER_KEYS_DIR=/etc/openvpn/client/keys
# W7 Y# B' [- E, K# |* `EASY_RSA_VERSION=3
EASY_RSA_DIR=/etc/openvpn/easy-rsa/
9 `. j4 g5 k+ s, [6 X2 Q( D3 LPKI_DIR=$EASY_RSA_DIR/$EASY_RSA_VERSION/pki
% X# o. v9 m2 F+ ?2 A) {7 A$ B  w
for user in "$@"
/ T3 d2 Y: \  s: ?# }2 R3 Mdo
if [ -d "$OVPN_USER_KEYS_DIR/$user" ]; then
rm -rf $OVPN_USER_KEYS_DIR/$user
. H: [, M+ S2 ^- J1 _rm -rf $PKI_DIR/reqs/$user.req
sed -i '/'"$user"'/d' $PKI_DIR/index.txt
fi
( i- _/ S, [, A2 ^cd $EASY_RSA_DIR/$EASY_RSA_VERSION
: r/ x7 {$ i5 k+ ^' r# 生成客户端 ssl 证书文件
& O, {# t1 X, }; Q./easyrsa build-client-full $user nopass
" R2 U1 R- z1 k& ?# 整理下生成的文件
mkdir -p $OVPN_USER_KEYS_DIR/$user
cp $PKI_DIR/ca.crt $OVPN_USER_KEYS_DIR/$user/ # CA 根证书
$ j; Q' }+ Q; s# @% S' lcp $PKI_DIR/issued/$user.crt $OVPN_USER_KEYS_DIR/$user/ # 客户端证书
cp $PKI_DIR/private/$user.key $OVPN_USER_KEYS_DIR/$user/ # 客户端证书密钥
9 X$ \" i* Q' s. M; Y) mcp /etc/openvpn/client/sample.ovpn $OVPN_USER_KEYS_DIR/$user/$user.ovpn # 客户端配置文件
sed -i 's/admin/'"$user"'/g' $OVPN_USER_KEYS_DIR/$user/$user.ovpn
1 Q" A/ z# L9 H. e& b5 vcp /etc/openvpn/server/certs/ta.key $OVPN_USER_KEYS_DIR/$user/ta.key # auth-tls 文件
" l; Y1 ~3 Y/ n& N( N" Y, Rcd $OVPN_USER_KEYS_DIR
- g" i4 S0 Q+ y2 a( x+ [* x% lzip -r $user.zip $user
done
! l( t) w, {8 A8 b% Sexit 0
EOF
) C' O* V7 C: ?
# ]3 F+ R4 [7 V8 G' Becho ''>/etc/openvpn/client/sample.ovpn
touch /etc/openvpn/client/sample.ovpn
3 F4 j- U( p0 @% o: kcat > /etc/openvpn/client/sample.ovpn<<"EOF"

admin

# 监听地址
4 R/ e1 t6 r' r+ i. h# n1 Vlocal 0.0.0.0  
( g- F' S# Z/ O9 B3 K$ b# Q
# 监听端口
port 1194  
3 W( W, _1 C: D
9 }; Z: D5 C) p- p# 监听协议
proto tcp  
! N+ R. b' l7 y( g: o' C- K
# 采用路由隧道模式
dev tun  

/ e0 U7 ?0 I% W* Y4 s# ca证书路径
ca /etc/openvpn/ca.crt  

# 服务器证书
6 l) I) W  }& Pcert /etc/openvpn/server.crt  
- i+ f: Q/ W' v4 k$ g
- x6 ]* }) g5 h3 w# This file should be kept secret 服务器秘钥
key /etc/openvpn/server.key  
3 C. _, L% p6 }1 k/ b: O
# 密钥交换协议文件
2 n0 @# S% D" A  j7 Gdh /etc/openvpn/dh.pem  

# VPN服务端为自己和客户端分配IP的地址池，服务端自己获取网段的第一个地址（这里为10.8.0.1），后为客户端分配其他的可用地址。以后客户端就可以和10.8.0.1进行通信。注意：该网段地址池不要和已有网段冲突或重复
server 10.8.0.0 255.255.255.0  

" {. a/ g; A3 }" k) l1 q#使用一个文件记录已分配虚拟IP的客户端和虚拟IP的对应关系，以后openvpn重启时，将可以按照此文件继续为对应的客户端分配此前相同的IP。也就是自动续借IP的意思
ifconfig-pool-persist ipp.txt
- ?. y' t: ^6 y! V4 C
- r' U0 v3 ]+ m$ n# 客户端所有流量都通过 openvpn 转发，类似于代理
push "redirect-gateway def1 bypass-dhcp"

" S3 g! E- j- `* t2 Y# 注意：客户端配置，当服务端开启上面一条流量转发后，客户端需要配置如下2条，客户端只有访问192.168.0.0/24的地址才会走vpn隧道，也就是会使用vpn服务端的IP地址，访问其他地址还是会走本地网络
route-nopull
route 192.168.0.0 255.255.255.0 vpn_gateway
7 n' s# s/ B! b% J& _
# 将服务器端的内网地址推给客户端，添加到客户端的路由表中，可以添加多条
8 u! @; A1 B; `2 ]push "route 192.168.0.0 255.255.255.0"

" @2 |$ M. H% A% l5 R# 服务端推送客户端dhcp分配dns
push "dhcp-option DNS 8.8.8.8"  

/ v$ k+ \# I' V. Q' U: U# 客户端之间互相通信
8 {1 C; M# y: Y+ Lclient-to-client
0 e+ x1 g. U+ v2 s3 P
, ^" @; Y2 Z: E* L# 存活时间，10秒ping一次,120 如未收到响应则视为断线
keepalive 10 120
& y( t) f* ~8 g% b4 j7 [
8 X3 h) A' q! G- U, m# openvpn 2.4版本的vpn才能设置此选项。表示服务端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。Push后在客户端也配置启用lz4的压缩功能，向服务端发数据时也会压缩。如果是2.4版本以下的老版本，则使用用comp-lzo指令
$ }( b; N% o0 d3 ^& s  o0 `% v/ Gcompress lz4-v2
push "compress lz4-v2"

& t4 t8 S2 X4 z6 r  K4 w# 启用lzo数据压缩格式。此指令用于低于2.4版本的老版本。且如果服务端配置了该指令，客户端也必须要配置
comp-lzo

# 最多允许 100 客户端连接
max-clients 100  
, z' e: f  v' J+ }' M7 K# g$ `; u
# 用户
9 n2 Y& |2 [2 ~user openvpn  

- Z% t) C! {; `% n* q7 F4 N) `# 用户组  
group openvpn  

# 参数 0 可以省略，如果不省略，那么客户端配置相应的参数该配成 1；如果省略，那么客户端不需要 tls-auth 配置
tls-auth /etc/openvpn/server/ta.key 0  
7 e9 A% E& ~' i0 T$ t3 L
% d2 ~0 M5 z, ^9 B! P$ ]) r! m* q# 设置一个证书多人同时登陆，如果不允许则注释掉
: v" O/ t9 [) T: S! j: o) mduplicate-cn
) Y% c3 A9 }: T$ h% B

admin

最好的办法是禁止OpenVPN设置自定义缓冲区大小。在服务器和客户端的配置文件加入：
% _6 Z3 _, @. |: t# j6 m
. L9 T5 Z+ p6 Nsndbuf 0
rcvbuf 0
7 b2 I; G3 t% c  G

这样缓冲区大小就由操作系统控制了。对于Linux，这个固定值对于TCP是net.ipv4.tcp_rmem 和net.ipv4.tcp_wmem， UDP是net.core.rmem_default 和 net.core.wmem_default 两个值除2.

如果客户端配置文件不能修改，那么你需要从服务器推送更大的缓存大小：

, Z8 k8 N/ @/ K7 U: d9 d0 Zsndbuf 0
  r9 N" J# D, N1 Srcvbuf 0
push "sndbuf 393216"
9 U: |3 m- T+ U4 w8 }push "rcvbuf 393216”

! y' t3 s$ l, C& p
UDP和TCP不同，没有窗口大小这一说，虽然不是整个系统都需要。但是缓冲区过小也有可能降低速度。如果你把缓冲区调成0后还是慢，你应该要么在系统层面增加缓冲区大小（net.core.rmem_default 和 net.core.wmem_default），或者在服务器推送更大的缓冲区配置：
# [8 a, X: a7 X* m+ n
sndbuf 393216
0 Z6 ^" B+ c% \1 V5 wrcvbuf 393216
/ d6 W; A3 L' {: S+ U) b* \push "sndbuf 393216"
push "rcvbuf 393216”
: `# N7 x2 W! K$ A8 ^

admin

- H: Q+ d$ M: U3 ]& l& q这部要做：
firewall-cmd --permanent --add-service openvpn
firewall-cmd --permanent --add-masquerade
. o8 d4 o8 d, h- @* Z3 _  ?firewall-cmd --reload


优化后的配置：


服务端配置 (server.conf)
, ?5 I: j( A' T' N1 o# 基本设置
" E+ C6 x& N5 ?% o! P  ulocal 0.0.0.0
7 M6 }- [' m2 y' ^' n2 s$ t8 Bport 2197
$ z) B. [  H3 M2 d: y8 b8 g  U1 zproto tcp
dev tun
topology subnet

/ h8 w( M6 E. \3 Y
# MTU/MSSfix 优化，避免 TCP-over-TCP 卡顿和重连
( M4 A- i1 Q, z; stun-mtu 1450
0 J% q& c7 |/ \/ ]mssfix 1410
& I# m7 m6 T+ ^# A1 q% jpush "tun-mtu 1450"
push "mssfix 1410"

2 E$ |( l+ G" T
# 证书路径
: `* J( r/ A4 u9 ?8 A  |7 v" Rca /etc/openvpn/certificate/ca.crt
* I& O. X$ n% I+ {. }. Zcert /etc/openvpn/certificate/openvpnserver.crt
key /etc/openvpn/certificate/openvpnserver.key
dh /etc/openvpn/certificate/dh.pem
tls-auth /etc/openvpn/certificate/ta.key 0
tls-server

' M2 F: X* g1 h+ ]! [  a6 x* |" L
# VPN 内网网段
server 10.10.10.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt


# 内网路由推送
push "route 192.168.16.0 255.255.252.0"
push "route 172.30.1.0 255.255.252.0"


0 ?) [* p7 r7 ?2 d* R+ ]# DNS 推送
" n; V6 l. v2 m/ Y6 hpush "dhcp-option DNS 119.6.6.6"
push "dhcp-option DNS 119.7.7.7"


# 客户端互通
client-to-client
1 q" `: M4 F" R; {! a
7 {$ I$ Q- i* X% I* W9 X2 O4 C
# 保持连接，优化 TCP
keepalive 10 60
tcp-nodelay

) G) R2 N  y7 l
# 加密和压缩
& E( A8 U6 P$ b, Ycipher AES-256-GCM
auth SHA256
2 u% S+ [0 `! q. ]compress lz4-v2
push "compress lz4-v2"


# 客户端数量
max-clients 250
. _8 v/ J" x6 pduplicate-cn   # 如果允许同证书多端连接
0 t9 Y+ k9 X2 a7 l+ b' g9 J

# 用户权限
) _/ c( N8 D: |  n5 v  ]user openvpn
/ `" [9 ^4 P4 _  Q- D* v& ?$ I& Egroup openvpn
persist-key
# D. h; u3 S- E# ^persist-tun
+ z% j& S$ G, ^0 C6 }/ H6 [
/ y; c% r+ @  U) t: r
# 日志
1 P/ v# p' r0 ?- Cstatus /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
1 m1 Z  t, P+ y% `: N: ?7 Yverb 3


客户端配置 (client.ovpn)
client
dev tun
7 E  W7 @" I- s$ ^3 n, Hproto tcp
remote 119.99.99.9 2197
resolv-retry infinite
" G: h8 _7 i7 Rnobind
8 k; x) _& W9 |$ I, ?remote-cert-tls server
6 a, _; M) ^; V  Q( }% n
' g# B6 U# x- X9 d' K2 I( z, u4 ~5 ~
# 证书
; M3 K5 v  A0 |$ x7 pca ca.crt
( @) M/ O. \4 t8 U$ f( `cert rui.crt
1 x2 |( y' H7 i! _. p& o: T1 Nkey rui.key
tls-auth ta.key 1
+ h5 l5 |- w% J3 S" b& [
% \8 g" g( [; e2 V. m5 g
- |3 K$ A5 H3 E: ^: {% z# MTU/MSSfix 同服务端
tun-mtu 1450
mssfix 1410

. t8 }+ w! Z+ x/ o9 N
/ E( y) M8 n1 b7 ?2 S  I$ v# 加密/压缩一致
cipher AES-256-GCM
auth SHA256
compress lz4-v2
) m* ^( H: g+ p+ d% q4 g( O0 O# H

# DNS
dhcp-option DNS 119.6.6.6
dhcp-option DNS 119.7.7.7

3 F- X# ]. ^% T- G* I7 o
# 自动重连优化
keepalive 10 60
8 C: s5 ?  j8 v5 L2 f4 v  g& dpersist-key
persist-tun
remote-random
7 w7 Z) t6 H6 a6 n$ ~0 i, |5 \, ^tcp-nodelay
9 u2 `* O- }6 \7 u+ M0 O; ]. dresolv-retry infinite


3 j1 n6 C2 N9 m2 i3 D3 S3 [1 X6 `# 日志和调试
1 v/ `' F: H5 G" I* r; j3 P; ^verb 3

2 {# N+ W0 z, ]9 B! d; d/ S
2 N6 v5 X5 |  G: G7 U: j

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包

代码语言：javascript代码运行次数：0
. q5 \- q8 O1 `( W4 S$ S0 S$ t+ a运行
AI代码解释
yum -y update
  f/ i/ T0 ~; w; w: W& E虽然也是可以不进行更新直接安装。

安装 OpenVPN 和 EasyRSA
2 V7 {9 L9 ?' ]1 ^$ Y
! }9 F  d% u% s$ x安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA
7 T, N0 F+ z1 E" m+ g
代码语言：javascript代码运行次数：0
1 Y* m' p6 W2 k. d' T运行
2 z7 k/ ~* R% W2 c6 k& b! tAI代码解释
% \+ \# j1 ~& c; B5 ?& c. {( Ayum -y install openvpn easy-rsa firewalld
* y9 |' b: I6 r& H9 Q8 P如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。
7 G5 {% C' x/ m( x' T' @) i& c
代码语言：javascript代码运行次数：0
运行
; y1 g' B) n/ k# }AI代码解释
/ s! L* I# k$ J' V3 n" Wyum install epel-release -y
生成 CA 证书、服务端密钥与共享密钥

这里步骤比较多。

首先需要初始化 PKI

, {# L5 `# b* O+ ?& M代码语言：javascript代码运行次数：0
$ i  B) G: r% G运行
AI代码解释
cd ~
# Y9 M' A# d+ A6 ^) X/usr/share/easy-rsa/3/easyrsa init-pki
接下来是生成 CA 证书
# B7 s7 d) V9 |& u  u1 G! v) B( @* {
代码语言：javascript代码运行次数：0
运行
& \! J  d# p# Q' I1 z$ SAI代码解释
/usr/share/easy-rsa/3/easyrsa build-ca nopass
其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。
5 X; q8 r5 o. l5 ]8 J3 l( t
) \' O) E7 \8 S" E) Q: N2 B( m' V* B再来是生成交互密钥
# Z  \$ K* E, O. _0 M& c
( l1 c: t2 t" ?( T4 a代码语言：javascript代码运行次数：0
运行
# Y# ^* K6 H/ Y: l% @) PAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-dh
开始生成服务端密钥

代码语言：javascript代码运行次数：0
, O9 k' I' F4 O& V; P运行
8 j. d, {2 n. |. S& i5 h  dAI代码解释
$ R# A0 b4 a4 x, D/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
3 p" B4 G' `1 u# c接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

代码语言：javascript代码运行次数：0
运行
( G5 c" {: ~1 f1 {1 b' K/ hAI代码解释
/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
: i1 O9 D, {% J) r8 p8 j8 b. n7 @最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过
  F6 z+ L8 n6 E- l' A/ o0 e
# K( w# p3 ]$ M& Y6 j2 K代码语言：javascript代码运行次数：0
3 D" F7 f4 n5 I$ c4 S: P$ L运行
. _4 B/ c$ D! E. A9 ZAI代码解释
4 y, a1 W# u, u( O4 n; O' \/usr/share/easy-rsa/3/easyrsa gen-crl
其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥

8 f) ~$ |; e  w' l代码语言：javascript代码运行次数：0
运行
4 M  {" j4 }5 b1 dAI代码解释
openvpn --genkey --secret pki/ta.key
在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）

代码语言：javascript代码运行次数：0
运行
AI代码解释
cp pki/ca.crt /etc/openvpn/ca.crt
cp pki/dh.pem /etc/openvpn/dh.pem
6 W' B5 ]7 D/ H( H' w4 Kcp pki/issued/vpn-server.crt /etc/openvpn/server.crt
cp pki/private/vpn-server.key /etc/openvpn/server.key
: W: Q9 P0 K5 @: d1 lcp pki/ta.key /etc/openvpn/ta.key
* ^1 X2 g7 t2 j4 N) A7 x5 ]5 Mcp pki/crl.pem /etc/openvpn/crl.pem
配置服务端
3 o+ {" U/ P4 ~  m
$ O1 o; O3 j. C3 F/ WOpenVPN 配置文件有许多可定制化，具体请查阅官方文档。

代码语言：javascript代码运行次数：0
运行
AI代码解释
6 ?% W9 ]% f$ w0 n; ncd /etc/openvpn
9 k0 w5 a- K2 ovim server.conf
将以下内容粘贴进去

代码语言：javascript代码运行次数：0
. f+ h* D- q: ~3 ]7 B$ C9 F1 g) d0 V运行
AI代码解释
# Secure OpenVPN Server Config
% x) g" V3 f6 R+ u8 A0 S$ s# Basic Connection Config
+ h5 U6 q( Z! [: @3 Zdev tun
proto udp
* S/ \& k4 l! O& P+ U+ h+ ]port 1194
keepalive 10 120
max-clients 5
( ^; V+ |4 e0 P, c$ N8 r# Certs
4 F3 h2 e  z4 Nca ca.crt
cert server.crt
4 K- l  P% x) K; |$ l; ikey server.key
- a: G- R4 @$ k& vdh dh.pem
, t. Q" l1 }) y( Y- b  _# n3 @tls-auth ta.key 0
$ x) y& A( `0 e! R0 J+ X# Ciphers and Hardening
" f! b. K& e) y7 c7 G- qreneg-sec 0
remote-cert-tls client
crl-verify crl.pem
tls-version-min 1.2
cipher AES-256-CBC
auth SHA512
# b5 s8 ?& t. Otls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
user nobody
4 u% C# K% ~7 c0 }group nobody
# IP pool
server 172.31.100.0 255.255.255.0
topology subnet
; M) L% J$ }) e) o/ D* E" z& V( Yifconfig-pool-persist ipp.txt
client-config-dir client
0 t4 r% k' n5 [: l& ~( J# Misc
persist-key
persist-tun
comp-lzo
# DHCP Push options force all traffic through VPN and sets DNS servers
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
( d4 _' E' A1 K/ N: g# Logging
log-append /var/log/openvpn.log
verb 3
8 b+ r# j, @8 E" E, v7 @启动服务端并让其开机自动启动
6 _% S7 v8 n6 s0 Q, N& n
3 o6 I& q5 v( |0 I, X代码语言：javascript代码运行次数：0
, A, a( [  @# H5 y% y( Q/ o运行
AI代码解释
- J( R9 x# v5 M& f2 jsystemctl start openvpn@server
systemctl enable openvpn@server
1 |" x, G1 q) z5 h" H- K- F配置防火墙与流量转发

6 |# B" S& T/ s* D放行 OpenVPN 入网流量与开启 IP 伪装

: m) G* p5 R% K; |; ?& S  C代码语言：javascript代码运行次数：0
; x, w1 v" E6 @: K; `7 Z运行
# i9 u# O& c( iAI代码解释
firewall-cmd --permanent --add-service openvpn
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
$ {2 i3 x9 Z' Q* ?, C# ^检查是否开启流量转发
$ A, Z& t1 s' B( n. u& H, D
* H- L0 A5 a! B* y3 Q代码语言：javascript代码运行次数：0
运行
AI代码解释
sysctl -a | grep net.ipv4.ip_forward
; A2 d2 J* R& D$ ~2 f% o, p确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下

代码语言：javascript代码运行次数：0
$ I9 p5 s) [6 \- _: a运行
+ G2 J8 s( e, x+ RAI代码解释
) ^7 {, [) e/ O3 n5 Hecho "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
配置客户端
$ e- t  x/ t) e/ p0 e6 L
客户端需要拷贝以下文件
7 W$ X, F" t4 \
$ w* m) y) h+ [% J代码语言：javascript代码运行次数：0
运行
AI代码解释
cd ~
* X, y) z9 n% {* D4 i9 Emkdir vpn-client-01-config
4 [+ F8 I/ \* |0 D! Q4 v8 bcp pki/ca.crt vpn-client-01-config/ca.crt
cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
8 }9 p/ [# r6 l+ c2 z! D: `- Gcp pki/private/vpn-client-01.key vpn-client-01-config/client.key
4 W" s" x1 v  p6 T3 Ocp pki/ta.key vpn-client-01-config/ta.key
6 c0 v# H* @% J* o5 W最后vim vpn-client-01-config/client.ovpn并粘贴下面内容
5 ?. N: v. C" {  R$ [+ }" X) ~( P# v
代码语言：javascript代码运行次数：0
  p" G; {7 F2 s2 u  K/ E运行
AI代码解释
" \, w) j0 o5 O' C# Secure OpenVPN Client Config
#viscosity dns full
#viscosity usepeerdns true
#viscosity dhcp true
% [( x' Z( v' \' ^/ Ptls-client
pull
client
dev tun
proto udp
remote 123.123.123.123 1194
redirect-gateway def1
6 S2 B3 k0 m# W7 J+ n8 a* A0 O" znobind
persist-key
persist-tun
comp-lzo
verb 3
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
remote-cert-tls server
ns-cert-type server
key-direction 1
8 i9 O  ?% v8 k' m/ H- H0 C! vcipher AES-256-CBC
8 Q6 u' r" e& p& Ttls-version-min 1.2
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
6 w1 ]0 K; Q9 O( I
5 Y7 F- ]& L1 h: nremote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。
* x7 |8 }# O3 G8 L1 E  y

admin

调整压缩设置：启用压缩可以减少数据量，但可能会增加 CPU 的使用率。在配置文件中，你可以启用 LZO 压缩：
! H- i# E$ v2 `3 J) P2 f
( [# k* ?8 B# @: Q& K+ |comp-lzo

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包
1 @) s) H: e& M, P, F" W
2 T: R2 |: h  t' \# }代码语言：javascript代码运行次数：0
3 A# U8 @4 B0 C7 s8 h. g运行
9 F( E- W, \" m, J& ^5 HAI代码解释
yum -y update
虽然也是可以不进行更新直接安装。

# ]( W6 T. w3 V+ `. v* Q安装 OpenVPN 和 EasyRSA
/ d* C* S0 |( f- X
4 T4 O3 a$ C* @$ r# @2 s9 o/ ]安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA

6 @6 y4 g; i3 m1 Z! p) D8 Y代码语言：javascript代码运行次数：0
运行
, j& h' ^# r: ^  t8 |AI代码解释
9 F* Y, Y9 V/ j6 Uyum -y install openvpn easy-rsa firewalld
0 E3 W( T9 k1 [$ L/ z7 ~6 E如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。

代码语言：javascript代码运行次数：0
运行
5 Z, U- ]9 ]3 }' ?2 y$ Z& WAI代码解释
) y3 {/ W: u. [yum install epel-release -y
( v9 T& [+ h2 J5 d0 `生成 CA 证书、服务端密钥与共享密钥
- J1 {# H2 O5 ?
这里步骤比较多。
4 K( ]  r2 d/ {! Y
首先需要初始化 PKI

代码语言：javascript代码运行次数：0
/ X% C( U0 w0 r7 b6 f( k2 }运行
AI代码解释
cd ~
/usr/share/easy-rsa/3/easyrsa init-pki
' f( r" ]( y' Z4 i' v, [接下来是生成 CA 证书
2 h7 h. \  E& X0 F# i
+ p" V$ |' ~! |4 E1 ^" ~- L. t代码语言：javascript代码运行次数：0
运行
AI代码解释
# F6 P( ~' o1 N% n/ v  g/usr/share/easy-rsa/3/easyrsa build-ca nopass
其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。
' X& B# S3 t1 b6 \* u0 ~
再来是生成交互密钥
$ R' F  O6 e0 g# W; x" b: B
代码语言：javascript代码运行次数：0
运行
AI代码解释
4 v+ b7 @+ `# R  \$ w/usr/share/easy-rsa/3/easyrsa gen-dh
开始生成服务端密钥

3 X! x5 ^6 j  `/ I: B0 Z$ E0 Z代码语言：javascript代码运行次数：0
- t( C! b$ @* n8 l! l! g: Z) r% h% s运行
AI代码解释
- l8 ?* v( b& U; v, V3 w3 _% h/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

; E/ G8 d; J/ h. `% [1 h代码语言：javascript代码运行次数：0
运行
AI代码解释
' K* m3 p; d& H6 L1 W: {/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
9 ~0 \% ^8 P8 X4 o* R! ]最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过
9 X" T% {4 A$ t& C1 g9 H5 K, s
代码语言：javascript代码运行次数：0
" G2 Y4 J3 H) v运行
7 r* c) y* k" E* V- IAI代码解释
$ V4 t9 ?6 J" |# A4 e& P) i/usr/share/easy-rsa/3/easyrsa gen-crl
) ^9 J; J7 I5 O其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥
8 O5 g4 e4 }2 p. _2 |% T$ i0 T
4 d: L1 o, W7 M: [5 f2 e+ g代码语言：javascript代码运行次数：0
5 y' X, F8 U& x+ m' u: ]1 [5 T运行
AI代码解释
8 ~8 r( H4 H4 N5 E0 Kopenvpn --genkey --secret pki/ta.key
在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）
; ^9 N9 ~) [; M* j/ |2 @
代码语言：javascript代码运行次数：0
运行
/ |% M2 p# u$ l, z4 Z( Y" k5 MAI代码解释
! \2 k) @: m- H8 o! _8 N4 Tcp pki/ca.crt /etc/openvpn/ca.crt
) y+ B6 i7 o# {2 D$ qcp pki/dh.pem /etc/openvpn/dh.pem
5 \' X( |9 U* ~1 Y5 lcp pki/issued/vpn-server.crt /etc/openvpn/server.crt
8 P! C* C0 c) p# fcp pki/private/vpn-server.key /etc/openvpn/server.key
2 e& ?5 K" |) U0 ]cp pki/ta.key /etc/openvpn/ta.key
cp pki/crl.pem /etc/openvpn/crl.pem
4 o2 v, |: ]: k8 w5 x8 J配置服务端

OpenVPN 配置文件有许多可定制化，具体请查阅官方文档。

代码语言：javascript代码运行次数：0
# ]# ?. x" e3 @0 S: M运行
( x! n$ U. v* E7 Y' P9 j7 AAI代码解释
, B4 H% k9 k8 xcd /etc/openvpn
4 ^1 o! _$ A1 Y; wvim server.conf
将以下内容粘贴进去

, F$ z* X8 t' k代码语言：javascript代码运行次数：0
# X1 k: {8 a, v9 ^" y运行
# P7 d0 N7 L4 }AI代码解释
' B) Z" M7 K8 P; R# Secure OpenVPN Server Config
# Basic Connection Config
dev tun
proto udp
port 1194
$ l0 w/ }; a5 w% [$ ^: g; L& p& Akeepalive 10 120
max-clients 5
# Certs
) I' E7 j1 {" l$ \* B1 ]ca ca.crt
cert server.crt
+ b3 P) f% K. I0 Akey server.key
/ |$ ~4 v  L( F0 |. |- I+ {" a2 |( ^' Ydh dh.pem
tls-auth ta.key 0
# Ciphers and Hardening
reneg-sec 0
8 x; G) q( O& t* D1 uremote-cert-tls client
! E8 j+ G* e' tcrl-verify crl.pem
; c& d/ i. G$ l0 u8 v2 ]3 ]; Qtls-version-min 1.2
cipher AES-256-CBC
) a4 ^; H2 q0 k& z# vauth SHA512
1 F+ {+ P- s- }3 I* utls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
- b9 @% F+ H5 e% W' s- z$ s: tuser nobody
, [8 x/ B! x9 D) {* bgroup nobody
# IP pool
server 172.31.100.0 255.255.255.0
topology subnet
ifconfig-pool-persist ipp.txt
client-config-dir client
# Misc
: {! o/ e" r3 {# @( opersist-key
persist-tun
comp-lzo
# DHCP Push options force all traffic through VPN and sets DNS servers
1 T* j* T% D5 g. R% Q5 V' opush "redirect-gateway def1 bypass-dhcp"
$ x2 I) X3 p* O# Jpush "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
# Logging
log-append /var/log/openvpn.log
verb 3
启动服务端并让其开机自动启动

" b' X8 k0 ]8 p代码语言：javascript代码运行次数：0
运行
+ |6 J4 H  E% q0 @. p0 p' l% M' nAI代码解释
1 G( _9 C7 l: \+ Z1 L# a: P. Isystemctl start openvpn@server
0 A1 u  K$ @( ]3 `, Q! z4 }3 `/ [systemctl enable openvpn@server
: W+ I! T% z0 D配置防火墙与流量转发
" ~1 H) }! ?: C! X$ s" ^  I( P
$ f# y4 V+ f5 X+ l0 R" {0 {放行 OpenVPN 入网流量与开启 IP 伪装
$ a6 U& \2 T! G8 Y& H
! e( o8 r0 _9 g% T. y  l1 t' t代码语言：javascript代码运行次数：0
运行
AI代码解释
firewall-cmd --permanent --add-service openvpn
4 E  W) X+ A& J+ E% P- a; o" |firewall-cmd --permanent --add-masquerade
* o) i1 f* q  }* k1 u# A( T: Vfirewall-cmd --reload
检查是否开启流量转发

/ K  g  g1 L  `5 N5 z代码语言：javascript代码运行次数：0
# L3 e% @; Z: T运行
) I# C' U) s' q  K4 F3 F+ B( NAI代码解释
sysctl -a | grep net.ipv4.ip_forward
* w! M9 @" K, q6 _0 b/ N确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下
0 m. _7 a9 A; E5 b
4 ^& l6 m) S' Y: A8 c0 f代码语言：javascript代码运行次数：0
运行
AI代码解释
7 V5 y' H8 Z0 x, M* ~* y6 Gecho "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
配置客户端

客户端需要拷贝以下文件
5 f8 t" \  M6 H! P, b
' f) R, q& o  S代码语言：javascript代码运行次数：0
: A# g  T5 _8 l. h9 v' Q2 i% e, C运行
0 c5 B7 L/ V7 n+ \AI代码解释
cd ~
mkdir vpn-client-01-config
cp pki/ca.crt vpn-client-01-config/ca.crt
cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
$ N( d! [$ D* |9 @6 D% s% _- w, qcp pki/private/vpn-client-01.key vpn-client-01-config/client.key
+ ]4 u" M  i' o( V4 ?2 ^) ^cp pki/ta.key vpn-client-01-config/ta.key
1 y( F# b4 p2 a5 l+ x' y2 a) I最后vim vpn-client-01-config/client.ovpn并粘贴下面内容
  B# @& q0 e) ~2 G1 p: ]; a
代码语言：javascript代码运行次数：0
运行
  y$ Z7 _7 A6 u9 B! BAI代码解释
: b$ j% K- u+ i, f# Secure OpenVPN Client Config
6 Y* f! k( ^7 g6 g0 E' t" m#viscosity dns full
#viscosity usepeerdns true
#viscosity dhcp true
) r5 l' z4 A' w5 x  |7 t. Xtls-client
- n* [$ [2 E6 r5 I7 M; wpull
client
4 {( w% A# t/ H& b- j9 N6 C2 e1 @dev tun
" \  u: o' S% V' X9 D1 Eproto udp
remote 123.123.123.123 1194
redirect-gateway def1
nobind
" `' Z# S1 N9 g7 }persist-key
persist-tun
" N) \3 b: n$ i# Bcomp-lzo
verb 3
' U- t/ _; e$ q' S8 v- B' ica ca.crt
cert client.crt
' i1 z; i: O( k# Okey client.key
0 H  f+ ~7 ~4 a1 Y2 n) Ltls-auth ta.key 1
3 p, M& g, e7 V& i* p/ z0 tremote-cert-tls server
ns-cert-type server
. s  k# o6 o. p  M  A$ n3 k8 Kkey-direction 1
cipher AES-256-CBC
tls-version-min 1.2
4 {+ q3 L8 t9 h1 A9 H$ W7 }7 M5 P/ r) dauth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
! W5 x) X& q! i! bremote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。

admin

https://www.bbs168x.cn/forum.php ... tid=3133&extra=